TRUSTED CARE · GOOGLE CLOUD

Google Cloud Healthcare — lớp dữ liệu y tế có kiểm soát

Kiến trúc tách rõ lớp điều khiển của Trusted Care khỏi lớp dữ liệu y tế của Google Cloud; mọi triển khai thực tế phụ thuộc vào đơn vị thuê bao (tenant), vùng (region), hợp đồng và cấu hình đã được phê duyệt.

Kiến trúc dự kiến · Phụ thuộc cấu hình

Vai trò trong kiến trúc Trusted Care

Cloud Healthcare API được mô tả là một lớp dữ liệu y tế có thể cấu hình, không phải mô hình AI và không mặc định là hệ thống backend vận hành chính thức cho mọi triển khai.

LỚP ĐIỀU KHIỂN TRUSTED CAREĐơn vị thuê bao · định danh · đồng thuận · phân quyền · bằng chứng

CỔNG TÍCH HỢPÁnh xạ · kiểm tra tính hợp lệ · mã tương quan · thử lại · tính lũy đẳng

GOOGLE CLOUD HEALTHCARE APIDataset · FHIR R4 Store · HL7v2 Store · DICOM Store

SỰ KIỆN / PHÂN TÍCHPub/Sub · xuất dữ liệu BigQuery · AI hạ nguồn

Lớp dữ liệu và lớp điều khiển

Lớp dữ liệu và lớp điều khiển
Lớp	Trách nhiệm	Trạng thái
Trusted Care	Ngữ cảnh đơn vị thuê bao, người dùng, VNeID/RAR, đồng thuận, quy trình, bằng chứng và kiểm toán.	Kiến trúc sản phẩm
Cổng tích hợp	Ánh xạ định danh, tài nguyên dữ liệu/thông điệp, kiểm tra tính hợp lệ, mã tương quan, thử lại, tính lũy đẳng và hàng đợi lỗi (dead-letter)/phát lại.	Phụ thuộc cấu hình
Cloud Healthcare API	Lưu trữ và trao đổi FHIR, HL7v2, DICOM/DICOMweb; phát thông báo Pub/Sub; hỗ trợ khử định danh theo cấu hình.	Kiến trúc dự kiến
Google Cloud IAM / Ghi nhật ký	Kiểm soát quyền trên tài nguyên Google Cloud và ghi nhật ký hoạt động theo cấu hình dự án.	Cấu hình của khách hàng/Google
Phân tích / AI	Xuất dữ liệu BigQuery hoặc luồng xử lý sự kiện phục vụ phân tích và AI hạ nguồn; quyết định lâm sàng vẫn cần ranh giới con người rà soát.	Phụ thuộc cấu hình

Luồng FHIR · HL7v2 · DICOM

FHIR R4

Tài nguyên dữ liệu giao dịch

Patient/Encounter/Observation/DiagnosticReport được ánh xạ theo ngữ cảnh định danh và đồng thuận, được kiểm tra hợp lệ trước khi ghi vào hoặc đọc từ kho FHIR.

HL7v2

Thu nhận thông điệp

Bộ chuyển đổi MLLP nằm ngoài Cloud Healthcare API; thông điệp được tiếp nhận, kiểm tra, gửi tới kho HL7v2 và xử lý ACK/NACK tại ranh giới tích hợp.

DICOMWEB

Luồng hình ảnh

Kho DICOM cung cấp DICOMweb cho đối tượng hình ảnh; việc ánh xạ người bệnh/ca chụp, phân quyền và nguồn gốc dữ liệu phải được kiểm soát bởi kiến trúc triển khai.

Sự kiện, phân tích và AI hạ nguồn

Thay đổi trong kho
Thông báo Pub/Sub
Bên đăng ký / bộ xử lý sự kiện
Kiểm tra tính hợp lệ + chính sách
Luồng xử lý phân tích / AI
Con người rà soát
Quyết định + bằng chứng

Thông báo FHIR có thể chứa dữ liệu cá nhân tùy cấu hình; chủ đề/gói đăng ký (topic/subscription), phân quyền và tối thiểu hóa dữ liệu phải được thiết kế phù hợp. Pub/Sub không tự biến sự kiện thành quyết định lâm sàng.

Khử định danh và dữ liệu nhạy cảm

Ranh giới quan trọng: Google nêu rõ cơ chế khử định danh kết hợp quy tắc và phương pháp heuristic, và không bảo đảm tự động đáp ứng một yêu cầu pháp lý hay tuân thủ cụ thể nào. Khách hàng và Mobile-ID phải đánh giá cấu hình, đầu ra và mục đích sử dụng.

Phân định trách nhiệm triển khai

Phân định trách nhiệm triển khai
Bên	Trách nhiệm điển hình
Mobile-ID / Trusted Care	Ứng dụng, đơn vị thuê bao, quy trình, tích hợp, ngữ cảnh đồng thuận, kiểm toán/bằng chứng và ánh xạ đã thống nhất.
Tổ chức y tế / khách hàng	Quyết định mục đích xử lý, cấu hình dự án/vị trí, quyền người dùng, chính sách dữ liệu, nghiệm thu và vận hành.
Google Cloud	Cung cấp dịch vụ Cloud Healthcare API và các dịch vụ Google Cloud theo điều khoản/cấu hình tài khoản áp dụng.
Đối tác HIS/LIS/PACS	Nguồn thông điệp/tài nguyên dữ liệu/hình ảnh, ánh xạ, bộ chuyển đổi truyền tải và xử lý ngoại lệ tại hệ thống nguồn.

Cập nhật bằng chứng V19 · 23/09/2026

Ranh giới Google Cloud Healthcare đã được đối chiếu

Các điểm dưới đây được đối chiếu với tài liệu Google Cloud hiện hành và chỉ nhằm làm rõ kiến trúc dự kiến, không được dùng để khẳng định đã triển khai trên môi trường vận hành chính thức.

Mô hình kho dữ liệu và sự kiện

Cloud Healthcare API sử dụng tập dữ liệu (dataset) cùng các kho FHIR, HL7v2 và DICOM. Thay đổi trong kho có thể phát thông báo Pub/Sub; bên đăng ký và xử lý hạ nguồn phụ thuộc cấu hình triển khai.

Trạng thái: Kiến trúc dự kiến · Phụ thuộc cấu hình

Ranh giới khử định danh

Khử định danh tạo bản sao đã biến đổi cho các luồng FHIR/DICOM được hỗ trợ, và bản thân cơ chế này không bảo đảm đáp ứng một yêu cầu pháp lý hay tuân thủ cụ thể nào. Cấu hình và kết quả phải được đánh giá theo từng triển khai.

Trạng thái: Đã đối chiếu tài liệu Google · Việc sử dụng trong sản phẩm phụ thuộc cấu hình

Vị trí dữ liệu và sự kiện nhạy cảm

Kho nguồn và kho đích dùng cho khử định danh phải nằm trong cùng một vị trí Google Cloud. Dữ liệu (payload) FHIR qua Pub/Sub có thể chứa dữ liệu cá nhân tùy cấu hình, vì vậy tối thiểu hóa dữ liệu và IAM là trách nhiệm thiết kế cần xác định rõ.

Đối chiếu bằng chứng · 23/09/2026

Nguồn chính thức: tài liệu Cloud Healthcare API về kho dữ liệu, thông báo Pub/Sub và khử định danh. Các liên kết ngoài chỉ để tham khảo; phần lõi của website vẫn hoạt động ngoại tuyến.